评估评估者-对对抗鲁棒性测试的信任-计算机科学-安全基准测试-机器学习安全.pdfVIP

评估评估者：对对抗鲁棒性测试的信任

1,∗,†212

AntonioEmanueleCinà,MauraPintor,LucaDemetrio,AmbraDemontis,

BattistaBiggioandFabioRoli21

1DIBRIS-DepartmentofInformatics,Bioengineering,RoboticsandSystemsEngineering,UniversityofGenoa

2DepartmentofEnvironmentalSciences,InformaticsandStatistics,Ca’FoscariUniversityofVenice

Abstract

尽管在设计强大的对抗逃避攻击以进行鲁棒性验证方面取得了显著进展，但这些方法的评估往往仍然不一致且不可靠。许多

评估依赖于模型不符、未经过验证的实现以及不均匀的计算预算，这可能导致有偏的结果和虚假的安全感。因此，建立在这

种缺陷测试协议上的鲁棒性声明可能会误导，并给人一种虚假的安全感。作为提高评估可靠性的一个具体步骤，我们提出了

AttackBench，这是一个开发出来的基准框架，用于在标准化和可重复条件下评估基于梯度的攻击的有效性。AttackBench作为

一个评估工具，根据一个新的最优性指标对现有的攻击实现进行排名，这使研究人员和实践者能够识别出最可靠且有效的攻

击方法，以便在其后续的鲁棒性评估中使用。该框架强制执行一致的测试条件，并允许持续更新，使其成为鲁棒性验证的一

个可靠基础。

Keywords

对抗鲁棒性,鲁棒性评估,对抗样本,安全基准测试,机器学习安全,可信机器学习,机器学习,人工智能

本

译1.介绍

中近年来，对抗鲁棒性日益重要，这导致了众多规避攻击的开发[1,2]，旨在制作越来越精确和高效

的对抗样本[3,4,5,6,7,8]。这些攻击是评估模型抵抗最坏情况下的外部恶意用户扰动能力的重要工

1

v具。因此，它们已成为评估机器学习系统稳健性的重要组成部分，特别是在新兴监管框架（如欧洲

0人工智能法案[9]）的背景下，该法规为高风险的人工智能系统引入了严格的网络安全和稳健性要

5求。然而，尽管规避攻击算法迅速发展，用于评估它们的方法在严谨性和一致性方面却没有跟上步1

4伐。这些评估方法常常存在方法论上的缺陷，从而削弱了其可靠性。具体来说，我们识别了三个反

3

0复出现且关键的问题：(i)评估依赖于目标模型和指标的不一致选择，范围从固定预算的成功率[10]

.到中位扰动大小[11,6]，这使得跨论文比较不可靠；(ii)公共库中的攻击实现经常被重写而没有验证

7

0原始代码，导致了错误或无声的性能下降[12,13]；以及(iii)计算预算执行不一致——例如，某些攻

5击利用内部重启[14]或进行额外的超参数调整[3,4]，这给资源密集型方法带来了不公平的优势。

2这些不一致性共同引入了可能导致稳健性评估严重失真、妨碍可重复性和产生虚假的安全感的

:

v方差。这引导我们提出一个核心且紧迫的问题：

i

x我们可以多大程度上信任用于认证对抗鲁棒性的评估测试？

r

a

如果用于评估机器学习系统的工具存在缺陷或无效，那么从它们得出的任何稳健性保证或认证都可

能是无效的，可能会使用户暴露于现实世界的漏洞之中。

作为解决当前鲁棒性评估不可靠问题的具体步骤之一，我们介绍了Att